CVE-2023-40024
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W ScanCode.io, w punkcie końcowym `/license/`, klucz widoku szczegółowego nie jest odpowiednio walidowany i oczyszczany, co może prowadzić do podatności na ataki typu cross-site scripting (XSS). Atakujący mogą wykorzystać tę lukę do wstrzykiwania złośliwych skryptów, które będą wykonywane w przeglądarkach użytkowników.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanych działań, przejęcia sesji lub kradzieży wrażliwych informacji przez atakujących. Użytkownicy, którzy odwiedzą zainfekowaną stronę, mogą być narażeni na poważne zagrożenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji `32.5.2`, w której problem został rozwiązany. Nie ma znanych obejść tej podatności.
Oryginalny opis (angielski, źródło NVD)
ScanCode.io is a server to script and automate software composition analysis pipelines. In the `/license/` endpoint, the detailed view key is not properly validated and sanitized, which can result in a potential cross-site scripting (XSS) vulnerability when attempting to access a detailed license view that does not exist. Attackers can exploit this vulnerability to inject malicious scripts into the response generated by the `license_details_view` function. When unsuspecting users visit the page, their browsers will execute the injected scripts, leading to unauthorized actions, session hijacking, or stealing sensitive information. This issue has been addressed in release `32.5.2`. Users are advised to upgrade. There are no known workarounds for this vulnerability.